MCP e OAuth

Server MCP

Endpoint: POST https://clarity.whooho.it/api/mcp (Streamable HTTP, risposte JSON; nessuno stream SSE).
Versioni del protocollo: 2025-11-25, 2025-06-18, 2025-03-26, 2024-11-05.
Metodi: initialize, ping, tools/list, tools/call. Le notifiche ricevono 202.
Strumenti: visibility_check, geo_audit, account_balance, tutti con readOnlyHint: true.
Senza credenziali risponde 401 con WWW-Authenticate e resource_metadata per avviare OAuth.

Elemento	Valore
Metadati risorsa	`/.well-known/oauth-protected-resource`
Metadati server	`/.well-known/oauth-authorization-server`
Registrazione dinamica (RFC 7591)	`POST /api/oauth/register` — client pubblici, `redirect_uris` https o loopback
Autorizzazione	`GET /oauth/authorize` — solo `response_type=code` con PKCE S256 obbligatorio
Token	`POST /api/oauth/token` — `authorization_code`, `refresh_token`
Revoca	`POST /api/oauth/revoke`

Codici monouso, validi 10 minuti; redirect_uri confrontato esattamente.
Access token di 1 ora; refresh token di 30 giorni, a rotazione.
Il riuso di un codice o di un refresh token già usato revoca l'intera connessione.
Il consenso mostra il nome del client e il sito a cui verrà rimandato l'utente.